Standardmäßig läuft SSH auf Port 22, und genau diesen Port prüfen Bots, die nach angreifbaren Servern suchen, als Erstes. Wenn Sie SSH auf einen anderen Port verlegen, verschwindet der größte Teil dieses „Rauschens“ einfach aus den Logs.

Wichtig zu wissen ist, dass der Portwechsel eine zusätzliche Maßnahme ist und keinen echten Schutz ersetzt. Das Wichtigste ist die Anmeldung mit SSH-Schlüsseln, und ein anderer Port ergänzt sie gut.

Schließen Sie die aktuelle Verbindung nicht

Führen Sie alle Schritte aus, ohne die Sitzung zu schließen, über die Sie gerade verbunden sind. Schließen dürfen Sie sie erst, wenn die Anmeldung über den neuen Port in einem separaten Fenster funktioniert.

---

1. Neuen Port wählen

Jede freie Zahl von 1024 bis 65535 ist geeignet. In den Beispielen unten verwenden wir 2222, aber besser nehmen Sie etwas weniger Offensichtliches, zum Beispiel 48222. Notieren Sie sich den gewählten Port, denn Sie brauchen ihn für jede Verbindung.

---

2. Neuen Port in der Firewall freigeben

Die Befehle führen Sie auf dem Server aus.
Unter Ubuntu und Debian können Sie diesen Schritt überspringen, wenn Ihre Firewall nicht aktiviert ist.
Unter AlmaLinux, CentOS und Oracle Linux ist er wegen SELinux in jedem Fall nötig.

# Verbindungen zum neuen SSH-Port erlauben
sudo ufw allow 2222/tcp

# Neuen Port in der Firewall firewalld freigeben
sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload

# SELinux erlaubt SSH standardmäßig nur auf Port 22.
# Wir installieren das Tool semanage und fügen den neuen Port
# zur Liste der für SSH erlaubten Ports hinzu
sudo dnf install -y policycoreutils-python-utils
sudo semanage port -a -t ssh_port_t -p tcp 2222

---

3. Neuen Port in den SSH-Einstellungen eintragen

Die Befehle führen Sie auf dem Server aus.

# Datei mit unseren SSH-Einstellungen öffnen. Wenn Sie die
# Anleitung zu SSH-Schlüsseln befolgt haben,
# existiert sie bereits, sonst wird die Datei neu angelegt
sudo nano /etc/ssh/sshd_config.d/00-security.conf

Fügen Sie der Datei eine Zeile mit dem neuen Port hinzu.

# SSH lauscht jetzt auf Port 2222 statt 22
Port 2222

Zum Speichern drücken Sie Ctrl + O und Enter, zum Verlassen des Editors Ctrl + X.

# Einstellungen auf Fehler prüfen. Gibt der Befehl nichts aus,
# ist alles in Ordnung
sudo sshd -t

---

4. SSH neu starten

# In neueren Ubuntu-Versionen startet SSH über einen systemd-Socket,
# deshalb laden wir zuerst die Einstellungen neu und starten dann
# sowohl den Socket als auch SSH selbst neu
sudo systemctl daemon-reload
sudo systemctl restart ssh.socket
sudo systemctl restart ssh

# SSH neu starten, damit es auf dem neuen Port lauscht
sudo systemctl restart ssh

# SSH neu starten, damit es auf dem neuen Port lauscht
sudo systemctl restart sshd

Jetzt prüfen wir, ob SSH tatsächlich auf dem neuen Port lauscht.

# In der Liste sollte Port 2222 erscheinen
sudo ss -tlnp | grep ssh

---

5. Über den neuen Port verbinden

Diesen Befehl führen Sie auf Ihrem eigenen Computer aus, in einem neuen Terminalfenster.

# Der Parameter -p legt den Port für die Verbindung fest
ssh -p 2222 admin@SERVER_IP

In Termius ändern Sie den Port in den Verbindungseinstellungen im Feld Port.

---

6. Alten Port 22 schließen

Sobald die Anmeldung über den neuen Port funktioniert, schließen Sie Port 22 in der Firewall.

# Regel für den alten SSH-Port löschen
sudo ufw delete allow 22/tcp

# Liste der Regeln prüfen
sudo ufw status

# Standarddienst SSH (Port 22) aus den offenen Diensten entfernen
sudo firewall-cmd --permanent --remove-service=ssh
sudo firewall-cmd --reload

# Prüfen, was offen ist
sudo firewall-cmd --list-all

Wenn Sie fail2ban nutzen

Wenn Sie fail2ban nutzen, tragen Sie den neuen Port auch in dessen Einstellungen ein, sonst sperrt es Angreifer auf dem falschen Port. Wie das geht, zeigen wir im Artikel zu fail2ban.

Wenn der Zugriff doch verloren geht

Wenn Sie doch keinen Zugriff mehr haben, öffnen Sie den Server über die Schaltfläche Console in der Serverliste im Kundenbereich. Dort können Sie die Zeile Port aus der Datei /etc/ssh/sshd_config.d/00-security.conf löschen und SSH neu starten.

---

Unsere Ressourcen

Telegram-Kanal: https://t.me/f3cloud_news
Hosting-Website: https://f3cloud.com